最小权限管理通过自动化脚本精确收敛权限至必要范围，覆盖用户与组、文件与目录、服务进程三类对象，内置检查与安全加固逻辑，并集成至初始化和每日巡检流程。

服务器最小权限管理不是靠删功能、降体验来实现的，而是把“能做什么”精确收敛到“必须做什么”。自动化脚本在这里不是替代人工判断，而是把最小权限策略固化、可重复、可验证地落地。

脚本要管住哪几类权限对象

一个真正起作用的最小权限管理脚本，至少覆盖三类目标：

• 用户与组权限：禁用root远程登录、创建专用低权服务账户（如nginx_user）、确保/etc/passwd等关键文件不可被普通用户写入
• 文件与目录权限：自动扫描并修复世界可写的敏感路径（如/tmp、/var/tmp、/etc/cron.d），将脚本文件设为750或700，拒绝“其他人”读写执行
• 服务进程运行身份：检查systemd服务是否配置了User=和Group=，是否启用NoNewPrivileges=true、ProtectSystem=strict等隔离参数

核心检查逻辑必须自动化

手动跑ls -l或systemctl show容易遗漏，脚本应内置可验证的检查项：

• 检测是否存在-rwxrwxrwx或-rwxrwxr-x的脚本文件：find /opt/scripts /usr/local/bin -type f -perm -o=w -name "*.sh" 2>/dev/null
• 确认关键系统文件权限合规：stat -c "%a %U:%G %n" /etc/shadow /etc/passwd /etc/sudoers，预期应为640、644、440等严格值
• 扫描未限制运行身份的服务：systemctl list-units --type=service --state=running | xargs -I{} systemctl show {} --property=User,Group,NoNewPrivileges | grep -E "User=|NoNewPrivileges=no"

加固动作要安全、可回滚

脚本不能只“查”，更要“修”，但每次修改都需留痕并支持还原：

• 修改前自动备份原权限：getfacl /path/to/script.sh > /var/log/perm-backup/script.sh.acl.$(date +%s)
• 批量收紧脚本权限：find /opt/scripts -name "*.sh" -exec chmod 750 {} \;，再用chown root:sysadmin {}统一属组
• 对服务单元文件做安全补丁时，优先使用systemctl edit --full生成覆盖片段，不直接编辑原始文件，避免升级被覆盖

集成到日常运维节奏里才真正生效

权限策略不是一次性任务。建议把脚本纳入两个固定节点：

• 新服务器初始化阶段：在Ubuntu/CentOS安装后第一轮配置中调用，作为setup.sh的子模块，确保起点干净
• 每日定时巡检：通过cron每天凌晨执行，输出差异报告到/var/log/minimal-perm-check.log，异常时邮件告警

不复杂但容易忽略的是：所有加固脚本自身也必须遵循最小权限——它该由root运行，但文件权限应设为700，存放路径如/usr/local/sbin/secure-hardening.sh，且不向非运维组开放读取权。否则，策略就从源头失效了。